Android-Apps: Altbekannte Probleme gefährden Millionen von Nutzern

Sicherheitsforscher haben in beliebten Android-Apps Probleme mit falsch konfiguierten Cloud-Diensten entdeckt. Die wären wohl leicht vermeidbar gewesen.

Artikel veröffentlicht am 21. Mai 2021, 9:16 Uhr, Anna Biselli

Manchmal können weniger Apps auch mehr sein. (Bild: Azamat E/unsplash.com)

Die Forschungsabteilung des IT-Sicherheitsunternehmens Check Point hat 23 Android-Apps untersucht und dabei zahlreiche Sicherheitsprobleme mit falsch konfigurierten oder integrierten Cloud-Diensten gefunden. Bei einigen der Anwendungen konnten die Forscher auf ungesicherte Datenbanken zugreifen, bei anderen waren Schlüssel für Push-Notifications oder Cloud-Speicher in den Anwendungen selbst gespeichert.

Verwunderlich an der Untersuchung von Check Point sind nicht die Probleme an sich, sondern dass auch Apps mit teils mehr als zehn Millionen Installationen grundlegende Sicherheitspraktiken nicht beachten.

Insgesamt seien über alle untersuchten Apps hinweg persönliche Daten von 100 Millionen Nutzern zugänglich gewesen, darunter Nachrichten, Passwörter, Fotos oder Geodaten, so Check Point. Die Sicherheitslücken traten durch Fehlkonfigurationen von Drittanbieter-Diensten auf, die in die Apps integriert sind. Durch Real-Time-Datenbanken etwa können Entwickler Daten synchron und Plattform-unabhängig für alle Nutzer bereitstellen. "Aber was passiert, wenn die App-Entwickler ihre Real-Time-Datenbank nicht mit einer einfachen und grundlegenden Funktion wie der Authentifizierung konfigurieren?", fragt Check Point auf dem Unternehmensblog.

Offenbar noch nicht alle Probleme behoben

In manchen Fällen führten die Probleme nicht nur dazu, dass persönliche Nutzerdaten in falsche Hände geraten konnten wie bei einer untersuchten Horoskop- oder einer Taxi-App. Mit auffindbaren Keys für Push-Notifications wie in einem untersuchten Fall hätten Angreifer potenziell auch falsche Benachrichtigungen an Nutzer senden können.

"Stellen Sie sich vor, eine News-App sendet ihren Benutzern eine gefälschte Nachricht, die sie auf eine Phishing-Seite weiterleitet, auf der sie aufgefordert werden, ihr Abonnement zu verlängern", so Check Point. Bei den Apps Screen Recorder für Bildschirm-Aufnahmen und dem Online-Fax-Service iFax wäre es außerdem möglich gewesen, auf die in einem Cloud-Speicher abgelegten Recordings, beziehungsweise Faxe zuzugreifen.

Eine komplette namentliche Liste aller untersuchten Apps veröffentlichte Check Point nicht. Laut The Hacker News haben nicht alle der App-Anbieter die Probleme behoben, nachdem sie benachrichtigt wurden.